查询指定时间内审核失败的事件日志，必须要加namespace，否则无返回
$s = get-date "3/30/2016 13:54:03" $e = get-date "3/30/2016 13:55:03" $stime = [System.Management.ManagementDateTimeConverter]::ToDmtfDateTime($s) $etime = [System.Management.ManagementDateTimeConverter]::ToDmtfDateTime($e) Get-CimInstance Win32_NTLogEvent -namespace "root\cimv2" -filter "logfile=‘security‘ and type=‘审核失败‘ and TimeGenerated>=‘$stime‘ and TimeGenerated<=‘$etime‘"
如果使用gwmi，时间格式还需要再次转换，无法直接使用。
Get-CimInstance需要PS3.0的支持。
原文：http://www.cnblogs.com/dreamer-fish/p/5336956.html